2026年10月19日、脅威の状況はエンタープライズスタックのほぼすべての層に及んでいます。本日のインシデントに共通するのは、攻撃者が「信頼」を悪用しているという点です。オープンソースパッケージへの信頼、カレンダー招待への信頼、セキュリティツール自体への信頼が標的となっています。開発者ワークステーションが npm 依存関係を取得する場合でも、Fortinet ソフトウェアを実行するネットワークエッジデバイスの場合でも、本日の情報は協調した防御対応を求めています。

MALFEX キャンペーンによって発見された悪意ある npm パッケージ「imgdecode」は、ソフトウェアサプライチェーンの衛生管理が不可欠である理由を示す典型的な事例です。このパッケージは 2026年9月30日にアップロードされ、Windows ネイティブアドオン内にシェルコードローダーを隠蔽しています。これは、JavaScript ではなくコンパイル済みバイナリコンポーネントに焦点を当てた静的解析ツールを回避するために設計された手法です。過去3週間にこのパッケージをインストールした開発者または CI/CD パイプラインを持つ組織は、影響を受けたシステムが侵害された可能性があるものとして扱う必要があります。リスクは個々のワークステーションにとどまりません。このパッケージを取り込んだビルドサーバーが、本番バイナリに悪意あるアーティファクトを混入させた可能性があります。直ちに取るべき手順として、「imgdecode」の npm インストールログおよびロックファイルの監査、9月30日以降に生成されたビルドアーティファクトのネイティブバイナリ検査が可能なエンドポイント検知ツールによるスキャン、ビルドインフラからの異常なシェルコードコールバックパターンを示すアウトバウンドネットワーク接続の確認が挙げられます。

ID の観点では、台湾の研究関連機関を標的とした UAT-11985 キャンペーンは、Adversary-in-the-Middle (AitM) フィッシングが成熟し、従来の MFA がもはや信頼できる最後の防衛線ではなくなっていることを鋭く示しています。偽のイベント招待を配信し、被害者を AitM フレームワーク経由でリダイレクトすることで、脅威アクターは認証情報だけでなく、ライブセッショントークンと MFA コードを同時に収集します。研究機関および学術・政府機関とのパートナーシップを持つあらゆる組織は、これをセクターを問わない警告として受け止める必要があります。AitM 攻撃は TOTP およびプッシュベースの MFA を完全に回避するため、防御策はフィッシング耐性のある認証、具体的には認証デバイスに紐付けられた FIDO2 ハードウェアキーまたはパスキーへの移行が必要です。影響を受けた組織のすべての担当者は、直ちに Google 認証情報をローテーションし、有効な OAuth トークンおよびブラウザセッションを失効させ、侵害されたアカウントに付与されたサードパーティアプリケーションの権限を監査する必要があります。

CISA が本日 Known Exploited Vulnerabilities カタログに追加した2件の脆弱性は、即時パッチ適用ワークフローを起動させる必要があります。CVE-2025-61624 は複数の Fortinet 製品に影響するパストラバーサルの脆弱性であり、実際に積極的に悪用されています。ネットワークセキュリティアプライアンスにおけるパストラバーサルの欠陥は、ネットワーク全体の横断移動を可能にする設定ファイル、認証情報、秘密鍵を露出させる可能性があるため、特に危険です。直ちにパッチ適用ができない場合は、管理インターフェースへのアクセスを信頼できる IP 範囲に制限し、Fortinet 設定ディレクトリのファイル整合性監視を有効にしてください。CVE-2026-102764 は BeyondTrust Remote Support におけるスプーフィングによる認証バイパスの脆弱性です。BeyondTrust Remote Support は設計上、エンタープライズ全体の機密システムへの認証情報とセッションアクセスを保持する特権アクセス管理ツールです。ここでの認証バイパスは壊滅的な影響範囲を持ちます。BeyondTrust Remote Support を運用している組織は、緊急ベースでベンダーパッチを適用し、最近のすべてのリモートサポートセッションを不正アクセスの観点で監査し、パッチ適用が確認されるまでプラットフォームへの外部アクセスを一時的に制限する必要があります。

SiteGuard Server Edition の OS コマンドインジェクションの脆弱性は、境界リスクをさらに高めます。この欠陥を悪用した攻撃者は、影響を受けた Web アプリケーションファイアウォールサーバー上で root または SYSTEM として任意のコマンドを実行できます。つまり、アプリケーションを保護するためのツール自体が攻撃対象となります。直ちに SiteGuard にパッチを適用し、それまでの間はネットワークレベルの制御を使用して管理インターフェースへの管理アクセスを制限してください。また、SiteGuard サービスアカウントからの予期しないプロセス生成についてシステムログを確認してください。

最後に、侵害された Microsoft 365 アプリケーション ID に関わる ConnectWise のインシデントは、マネージドサービス環境におけるサードパーティリスクを改めて認識させます。ConnectWise は7つのアプリケーション ID を無効化しましたが、ConnectWise マネージドサービスを利用している組織は、Microsoft 365 テナントで見慣れない OAuth アプリケーション登録を独自に監査し、異常な委任権限付与について統合監査ログを確認し、侵害の期間中に不正なメール転送ルールや受信トレイルールが作成されていないかを検証する必要があります。

本日の防御優先事項：

- 「imgdecode」パッケージについてすべての npm 依存関係および CI/CD パイプラインを監査し、9月30日以降に生成されたビルドアーティファクトをスキャンする
- 外部からアクセス可能なすべてのサービスに FIDO2 またはパスキーベースの認証を適用し、研究・政府関連アカウントを優先する
- CVE-2025-61624 の影響を受ける Fortinet 製品および CVE-2026-102764 の BeyondTrust Remote Support に緊急パッチを適用する。両方とも積極的に悪用されているものとして扱う
- SiteGuard Server Edition にパッチを適用し、ネットワーク層で管理インターフェースへのアクセスを制限する
- ConnectWise が環境を管理している場合、Microsoft 365 テナントで不正な OAuth アプリ登録および異常な受信トレイルールを監査する
- Google Workspace および Microsoft 365 全体でアウトバウンドセッショントークンの使用状況を確認し、古い OAuth 付与を失効させる

サプライチェーン、ID、境界の脅威が1日に集中して発生したことは、単一の制御では不十分であることを示しています。多層防御、迅速なパッチ適用サイクル、ID およびビルドインフラの継続的な監視が基本的な要件です。

本ブリーフィングは情報提供を目的としており、ベンダーの公式アドバイザリおよび CISA のガイダンスの代替となるものではありません。パッチ適用や設定変更の決定を行う前に、必ず一次情報源を参照してください。